Les manières de créer et de développer des systèmes informatiques ne cessent d'évoluer. La complexité croissante des logiciels informatiques (répartition du code, utilisation de composants externes, limitation des ressources, etc.) nécessite des méthodes de conception et de validation rigoureuses. Dans ce contexte la phase de test s'avère particulièrement importante car elle contribue à garantir un bon fonctionnement de l'implantation du logiciel, dans son environnement réel d'exécution. Cette thèse définit une méthode automatique de génération de tests destinés à évaluer la robustesse d'une implantation, c'est-à-dire sa capacité à respecter certaines propriétés comportementales malgré un environnement d'exécution dégradé (susceptible de fournir des entrées incorrectes, ou d'inclure des composants externes incapables de rendre le service attendu). L'approche que nous proposons est inspirée des techniques de génération de test utilisées en test de conformité des protocoles de communications dans lesquelles les suites de test sont générées à partir d'un modèle comportementale d'une spécification du logiciel. L'originalité de ce travail consiste à étendre cette technique pour prendre en compte un modèle de fautes (exprimant le comportement dégradé de l'environnement sous forme de mutations syntaxiques de la spécification) et un observateur (exprimant l'ensemble des comportements incorrects du point de vue de la robustesse). Les séquences de test produites sont alors correctes dans le sens où elles ne rejettent que des implantations non robustes vis-à-vis de cet observateur. Un prototype a été réalisé dans le cadre de la boîte à outils IF et évaluée sur des exemples d'implantation Java.

Ce travail s'inscrit dans la continuité de l'étude du langage de description de systèmes AltaRica. Ce langage, développé au Labri, permet de modéliser des systèmes réels de manière hiérarchique. L'objectif de la thèse est d'introduire le temps quantitatif dans le but de concevoir des systèmes temps réel, c'est à dire des systèmes assujettis à des contraintes temporelles.<br />Deux extensions du langage sont proposées : une version temporisée et une hybride. Ces extensions respectent les caractéristiques du langage initial et conservent les aspects de hiérarchie, de synchronisation, de partage de variables et de priorité statique. En outre, afin d'améliorer les descriptions temps réel, de nouveaux opérateurs de modélisation, comme l'urgence et les priorités temporelles, ont été ajoutés. Nous obtenons ainsi un langage hiérarchique de haut niveau de modélisation de systèmes temps réel. <br />Une étude formelle complète a été menée sur la sémantique du langage, le pouvoir d'expression des langages AltaRica temps réel et des moyens de traductions automatiques vers des modèles classiques existants. Ces algorithmes reposent sur la notion de mise à plat de modèle, i.e. réécrire le modèle sans sous composant.<br />Enfin, le langage temporisé est implanté dans un prototype qui étant donné un modèle le met à plat puis le traduit en automate temporisé. Ainsi, certains systèmes réels ont pu être modélisés puis des propriétés ont été vérifiées à l'aide du model checker UPPAAL.

Dans notre travail nous nous sommes intéressés à la vérification<br /> automatique de propriétés comportementales d'applications réparties par des<br /> méthodes fondées sur les<br />modèles. En particulier, nous étudions le problème de<br />génération de modèles <br />à partir de programmes Java répartis et représentés par des systèmes de transitions<br />communiquants.<br /><br />Pour ce faire, nous définissons une sémantique comportementale de programmes ProActive, une<br />librairie Java pour la programmation parallèle, distribuée et<br />concurrente. À partir de cette sémantique nous construisons des modèles<br />comportementaux pour<br />des abstractions finies d'applications écrites dans ce langage. Ces<br />modèles sont basés sur la sémantique des algèbres de<br />processus et peuvent donc être construits de manière compositionnelle et<br />hiérarchique.<br />La construction de modèles finis n'est pas toujours possible. Pour<br />pouvoir traiter des problèmes prenant en compte des données, ainsi que<br />des problèmes concernant des topologies non bornées d'objets<br />répartis, nous définissons une nouvelle notion de modèleles<br />hiérarchiques, à base de systèmes de transitions paramétrés et de<br />réseau de synchronisation paramétrés. Moyennant des abstractions ces modèles permettent de<br />spécifier des applications possiblement infinies par des représentations<br />expressives, finies, et plus proche de la structure du code. <br />Par ailleurs, nous définissons un système de règles sémantiques<br />permettant de générer automatiquement ces modèles (finis ou<br />paramétrés) à partir d'une forme intermédiaire, obtenue par analyse statique,<br />des programmes analysés.<br />Les modèles ainsi générés sont exploitables directement ou après<br />instantiation par des outils de vérification.

Les protocoles cryptographiques jouent un rôle majeur dans les applications ou l'intégrité des données, la confidentialité, l'authenticité et autres propriétés sont essentielles. Ils sont utilisés par exemple dans le commerce électronique, la téléphonie mobile, le vote électronique. Dans la première partie de la thèse nous montrons que le problème d'atteignabilité pour des protocoles cryptographiques temporisés bornés est décidable est NP-complet. Notre procédure se base sur une logique de Hoare complète pour des protocoles cryptographiques bornés et un langage de propriétés très expressif. Dans la deuxième partie, en utilisant des techniques d'interprétation abstraite, nous appliquons cette méthode pour vérifier des propriétés de secret pour les protocoles cryptographiques dans un modèle général. Nous traitons un nombre non borné de sessions, de participants et de nonces ainsi que des messages de taille arbitraire. Nous proposons un algorithme qui calcule un invariant inductif en utilisant des patterns comme représentation symbolique. Cette méthode a été implanté dans l'outil Hermes et validée sur plusieurs études de cas.

Cette thèse porte sur la construction d'un environnement pour développer des librairies de calcul formel certifié. Nous présentons d'abord les espèces, structures servant à décrire des spécifications par héritage multiple, raffinement et paramétrisation. Les collections, construites par encapsulation d'espèces constituent la librairie utilisateur. Nous définissons également les analyses statiques garantissant la correction d'une définition d'espèce. Ensuite, nous étudions la compilation des espèces et collections vers le langage d'exécution OCAML, en utilisant les objets et modules OCAML. Puis nous détaillons la traduction dans le langage de preuves COQ, la liaison retardée étant traduite par des lambda-abstractions. Nous montrons ensuite comment utiliser cette technique pour optimiser les exécutables OCAML. Enfin, nous prouvons que les analyses faites par le compilateur ainsi que les techniques de traduction sont conforme à la formalisation des espèces faites auparavant en COQ.

Ce travail s'inscrit dans le cadre des méthodes formelles et des outils pour la spécification, la programmation, la vérification et la validation des logiciels réactifs à l'aide du langage synchrone Lustre. Nous avons étendu l'environnement de développement actuel de ces logiciels en lui adjoignant des outils de validation de spécifications et de test de programmes. Nous proposons une technique de construction automatique d'un simulateur aléatoire de l'environnement externe du logiciel ainsi que d'un simulateur des comportements sûrs de ce dernier. Exécutés conjointement, ces deux simulateurs permettent, par observation, la validation des spécifications de l'environnement et des propriétés de sûreté. La simulation de l'environnement constitue également un moyen de test aléatoire du logiciel. Une variante de cette technique est le test des propriétés de sûreté. Ce type de test favorise l'exécution des comportements de l'environnement du logiciel qui peuvent mettre en évidence avec une plus grande probabilité des violations des propriétés de sûreté. Enfin, nous définissons des critères de couverture pour le test structurel en s'appuyant sur le réseau d'opérateurs associé à un programme Lustre. Les conditions d'exécution des composants du réseau satisfaisant les critères sont calculées automatiquement ce qui permet la génération automatique de données de test ainsi que la mesure du taux de couverture obtenu. Toutes ces techniques sont formellement définies. Une illustration de leur application sur un exemple de logiciel synchrone que nous avons développé à cet effet complète notre étude.

Le mémoire décrit une méthode de modélisation et de validation de composants micro-programmes pour l'implantation de protocole de communication de réseaux. Cette mèthode a été développée dans le cadre de la conception du composant FICOMP qui met en oeuvre la norme de bus de terrain FIELDBUS. Le premier chapitre décrit le contexte industriel du projet FICOMP, les différents niveaux de spécification du composant et les outils de simulation et de vérification utilisés. Le chapitre deux présente le langage VOVHDL, une extension de VHDL pour la spécification des communications et des synchronisations entre processus concurrents, et en donne une sémantique synchrone en termes de systèmes à transitions étiquetées. Le chapitre trois présente une approche de modélisation pour les descriptions VOVHDL hiérarchiques, et en illustre l'application au composant FICOMP : les modules internes sont reliés à un module de communication pour former un module de niveau supérieur ; ce module est alors traduisible dans le format d'entrée de l'outil de vérification ASA+. Le chapitre quatre rappelle les primitives essentielles du langage VHDL, et formalise la sémantique de simulation de ce langage en termes de systèmes à transitions étiquetées. Les annexes détaillent l'application de la méthode, par la spécification et la traduction dans le modèle propose de deux modules du projet FICOMP

Cette thèse a pour cadre la vérification des systèmes réactifs de grande taille. Les systèmes réactifs sont des systèmes informatiques qui réagissent continûment à leur environnement physique, à une vitesse déterminée par cet environnement. Ils sont particulièrement utilisés dans le cadre du contrôle des systèmes critiques : transport, nucléaire, commande de processus industriels, communication... De par leur fonction, ils doivent impérativement satisfaire des contraintes strictes de fonctionnement. La vérification des systèmes réactifs de grande taille peut être effectuée en décomposant modulairement le programme. Des algorithmes de synthèse sont proposés, qui permettent de déterminer les sous-programmes les plus généraux, tels que le système complet satisfasse une propriété donnée. La vérification modulaire a été étendue aux cas des réseaux paramétrés de processus. L'utilisation d'observateurs synchrones permet de spécifier des propriétés sur un nombre quelconque de processus. La technique proposée consiste alors à exprimer un invariant de ce réseau à l'aide d'un plus petit ou d'un plus grand point fixe, et d'utiliser des techniques d'extrapolation pour en calculer une approximation régulière. Les cas des réseaux linéaires (ou en anneau) et des réseaux arborescents ont particulièrement été étudiés. L'ensemble des techniques et des algorithmes développés ont été implémentés dans un outil : a Boolean Automaton Network Grammar checker.

A ce jour, les méthodes formelles ont montré qu'elles étaient applicables avec succès au développement de logiciels industriels. Pour maîtriser la complexité croissante de ces applications, la mise en oeuvre des paradigmes d'abstraction et de composition est incontournable. La méthode B permet d'assister le processus de développement des spécifications au code et offre une notion de modularité qui permet de composer à la fois les spécifications et les développements. La compositionnalité des preuves est assurée par des restrictions imposées par le langage, qui limitent les formes d'architectures autorisées. A la suite de nos précédents travaux, le manuscrit présenté ici explicite les principes de composition des spécifications et des développements, énonce les théorèmes sous-jacents à la composition des preuves et complète et valide les restrictions imposées par la méthode B. Bien que dédiés à la méthode B, les résultats présentés sont plus généraux : ils peuvent s'appliquer à d'autres approches formelles basées sur la notion d'état, comme les approches objet

Dans le cadre de la télécommunication, les entreprises développent des protocoles gérant le transfert de données entre machines. Ces protocoles fonctionnent sur le principe d'envoi de messages entre deux parties par l'intermédiaire de canaux non fiables. Pour s'assurer que tous les messages ont bien été reçus, les techniques employées consistent à réémettre les messages perdus et/ou à attendre un laps de temps déterminé avant de conclure à l'échec de la transmission. De plus, les systèmes sont souvent modélisés en fonction de paramètres. Nous avons travaillé sur un modèle mathématique permettant la vérification de spécifications (comportements attendus des systèmes) pour des protocoles manipulant à la fois des compteurs, des files d'attente ou des horloges, ainsi que des paramètres. Le but de l'analyse est de calculer l'ensemble des comportements possibles du système puis de vérifier qu'aucun d'eux ne viole une spécification attendue. Le problème ici est que cet ensemble est infini. En effet, un comportement est fonction des valeurs prises par les variables du système au cours de l'exécution et certaines sont définies sur un domaine infini. Il faut alors pouvoir représenter ces comportements de façon finie et aussi trouver des méthodes pour calculer en un temps fini un ensemble infini. Plus formellement, nous nous sommes placés dans le cadre de l'analyse automatique des systèmes (model-checking). La représentation choisie pour les modèles à compteurs et horloges paramétrés est une extension des matrices de bornes pour laquelle nous avons une méthode exacte d'accélération (calcul en un temps fini d'ensembles de comportements infinis). Du côté pratique, nous avons implanté ces méthodes dans un outil TReX qui est, à notre connaissance, le seul pouvant manipuler de manière exacte des compteurs, des horloges et des files d'attente. Nous avons pu vérifier des exemples conséquents tels que le protocole de retransmission bornée.